Conversations je odprtokodni in varen odjemalec Jabber/XMPP za Android

Facebook Messenger, WhatsApp in WeChat so tri najboljše aplikacije za neposredno sporočanje, ki trenutno prevladujejo na trgu. Njihovo stalno prevlado je enostavno razložiti z vključitvijo vmesnika, ki je preprost za uporabo, skupaj z uporabniško bazo milijonov ljudi. Vendar ima vsaka od teh aplikacij za neposredno sporočanje eno napako: v lasti so velikanov socialnih medijev. Če se nekdo prijavi za račun WhatsApp, se mora strinjati tudi s Facebookovo uporabniško licenčno pogodbo. Na splošno velja, da za uporabo teh priročnih storitev trgujete s svojo zasebnostjo. Čeprav so razvijalci WhatsApp implementirali šifriranje od konca do konca kot standardno funkcijo, sama aplikacija ni popolnoma odprta koda, tako da gre za slepo zaupanje, ali verjamete, da Whatsapp ne more zbirati podatkov ti.

Za nemoteno izkušnjo sporočanja se vse glavne aplikacije za takojšnje sporočanje zanašajo na izvorno implementacijo prenosa sporočil Android, imenovano Google Cloud Messaging (GCM). Sporočilo pride v stik s poslovnimi interesi, preden sploh doseže strežnik. Večina uporabnikov ni pripravljena ali sposobna preveriti, ali storitev, ki jo uporabljajo, drži svoje obljube in celo strokovnjaki lahko samo ugibajo, ali WhatsApp še vedno izpolnjuje določene varnostne standarde po tem, ko je bila aplikacija opravljena posodobljeno. Vsaka posodobitev zahteva neodvisno varnostno revizijo, ki zahteva sodelovanje ponudnika – v tem primeru Facebooka.

Neodvisnost je pri tem ključna, kar nas vodi do Pogovori Messenger. Je popolnoma odprtokodna aplikacija za neposredno sporočanje, ki se izogiba uporabi GCM z uporabo XMPP namesto tega protokola – dajanje nadzora uporabniku. Pogovori vam omogoča, da vodite več računov hkrati in za vsak stik lahko celo uporabite drug račun. Medtem ko drugi messengerji vidno ne omenjajo, na kateri strežnik so naložene dane informacije, Conversations omogoča uporabniku, da se odloči, kateri strežnik Jabber si zasluži njihovo zaupanje. Lahko pa celo uporabite svoj strežnik. Conversations ponuja tudi strežnik, optimiziran za njegove zahteve, in prvih 6 mesecev uporabe strežnika je brezplačnih.

Izbira loči pogovore od množice. Aplikacija podpira preklapljanje med algoritmi šifriranja na letenju, izbirate pa lahko med tremi algoritmi šifriranja: PGP, OTR in OMEMO. Medtem ko sta PGP in OTR zelo zaupanja vredna algoritma, OMEMO to potiska še dlje. OTR nikoli ni bil primeren za večino uporabnikov preprosto zato, ker sta morala biti oba komunikacijska partnerja hkrati na spletu za dostavo sporočil. OMEMO rešuje to veliko pomanjkljivost OTR; dostava sporočila ne zahteva, da sta oba uporabnika na spletu hkrati.

OMEMO ponuja Naprej tajnost. Kaj to pomeni? Ponuja dodatno plast zaščite, ki varuje vaše podatke. Tukaj je scenarij: šifriranje od konca do konca temelji na zasebnem ključu, ki je shranjen samo v napravi, tako da če je telefon ukraden, zasebni ključ pade v roke tatu. Brez Forward Secrecy bi lahko tat dešifriral vsa sporočila, shranjena v telefonu. Protokol Forward Secrecy ustvari naključni ključ za vsako sejo, tako da so shranjena sporočila še vedno varna, tudi če je zasebni ključ v napačnih rokah.

Običajno uporabniki zaupajo identiteti svojega sogovornika, zato OMEMO uporablja identitete naprav. Vsak ključ OMEMO ima edinstven prstni odtis, ki omogoča preverjanje sogovornika, na primer prek telefonskega klica. Ko so partnerji za klepet preverjeni, se Algoritem dvojne raglje zagotavlja, da ga lahko dešifrira le prejemnik sporočila. Double Ratchet ustvari in šifrira vsako sporočilo z začasnim ključem. Ko je dostava uspešna, je ključ brez vrednosti in ga ni mogoče uporabiti za dešifriranje ničesar. Namenjen je samo varovanju podatkov med potovanjem po svetovnem spletu.

Pogovori so na voljo v trgovinah Google Play in Amazon App Store. Čeprav različice trgovine z aplikacijami niso brezplačne, aplikacija je odprtokodno tako da si ga lahko sestavite zase oz zgrabite ga iz F-Droida.

[appbox amazonapps B00WD35AAC]

Vas zanima več o aplikaciji iz konjskih ust? Daniel Gultsch, vodilni razvijalec Conversations, si je vzel nekaj časa, da je odgovoril na moja vprašanja.

---

Intervju z razvijalcem pogovorov

V: Bi se prosim na kratko predstavili?

O: Moje ime je Daniel Gultsch in delam kot samostojni razvijalec programske opreme in svetovalec.

V: Kaj vas je motiviralo za razvoj pogovorov?

O: Jabber/XMPP uporabljam že mnogo let. Celo leta 2009 sem lahko uporabljal Jabber na svoji Nokii e71. Nekje okoli leta 2012 sem prešel na Android telefon, tako da kar naenkrat nisem mogel uporabljati Jabberja. Na voljo je bil odjemalec Jabber za Android (Xabber), vendar je bil vizualno privlačen ravno nasprotno.

V začetku leta 2014 sem se spraševal, kako težko bi bilo razviti odjemalca za klepet, ki izgleda bolje (kot Xabber). Na tej točki sem imel izkušnje na področju razvoja programske opreme, vendar ne za Android. Po nekaj dneh je zaživel model uporabniškega vmesnika, zato sem se spraševal, kako težko bi bilo naučiti pošiljanja in prejemanja sporočil jabber v tem uporabniškem vmesniku. Po treh mesecih polnega dela je bila izdana prva različica pogovorov.

V: Ali lahko navedete tri razloge, zakaj Conversations varuje vašo zasebnost bolje kot Whatsapp ali Threema?

O: Svoje zasebne telefonske številke mi ni treba dati neznancem, če želim klepetati z njimi. Lahko bi imel zasebni in poslovni račun. Poslovni račun lahko onemogočim po izmeni, da preprečim, da bi me moj šef nadlegoval v prostem času. WhatsApp vsem omogoča, da kadar koli analizirajo moje vzorce uporabe aplikacije. (Moj šef bi me lahko zalezoval, da bi raziskal, ali uporabljam WhatsApp med svojim delovnim časom ali če uporabljam WhatsApp ponoči, namesto da bi spal in prišel spočit v pisarno.) To je drugače z Pogovori; Pogovori prav tako ne naložijo mojega celotnega imenika na Facebook.

V: Koliko stane enoletna naročnina na račun Conversations.im?

O: 8 evrov (približno 9 ameriških dolarjev). Po šestmesečnem poskusnem obdobju. Naročnine se ne obnavljajo same. Prekinitev naročnine ni potrebna.

V: Kakšne prednosti ponuja račun Conversations.im v primerjavi z drugimi strežniki XMPP?

O: Nove funkcije, ki zahtevajo podporo na strežniški strani, so najprej dostavljene pogovorom.im. Na splošno poskušamo zagnati conversions.im z nekoliko višjimi zahtevami. Strežnik, ki ga poganja hobi projekt, lahko odpove en dan, medtem ko je oseba na počitnicah. Takim stvarem se za pogovore poskušamo izogibati.im. Vsaj med delovnim časom je vedno nekdo v bližini, ki lahko po potrebi poskrbi za strežnik. Poleg tega podpirate razvoj strežnika, ki je prav tako odprtokoden. Spremembe, ki so narejene posebej za našo aplikacijo za pogovore, se končajo v kodi strežnika in so na voljo drugim.

V: Ali lahko kupim pogovore prek Bitcoina?

O: Ne aplikacija. Aplikacija se prodaja v Google PlayStore, ne sprejemajo bitcoinov. Aplikacijo je mogoče brezplačno prenesti prek odprtokodne trgovine App Store F-Droid. V tem primeru z veseljem sprejmem donacije prek Bitcoina.

V: Kaj je OMEMO?

O: (neobvezno) šifriranje od konca do konca za Jabber.

OTR zlahka ni uspelo. Če se določeno sporočilo izgubi zaradi slabe pokritosti telefonskega signala, tudi nadaljnjih sporočil ni mogoče dostaviti. Poleg tega lahko OTR izmenjuje sporočila samo med največ dvema napravama. Na primer: Ko sem prijavljen z dvema napravama hkrati (mobilni telefon in namizje), se mora moj sogovornik odločiti, ali želi sporočila poslati na telefon ali na namizje. Če moj kolega ni sposoben jasnovidnosti, katero napravo trenutno uporabljam, je to problem. Poleg tega se sporočila v tem primeru seveda ne sinhronizirajo in pogrešam del zgodovine pogovorov na vsaki napravi. OMEMO se znebi obeh težav. OMEMO je bolj zanesljiv in zmožen upravljati z več napravami.

V: Kaj je posredovana tajnost?

O: Recimo, da bi pogosto izbrisal svojo zgodovino pogovorov (lahko samodejno izbriše sporočilo, starejše od konfiguriranega časovnega obdobja.

Predpostavimo, da je nekdo shranil mojo celotno šifrirano komunikacijo. (Torej z njo ne more storiti ničesar, ima šifrirano besedilo, ne navadnega besedila. Zdaj mi je ta posameznik ukradel telefon. Samih sporočil ni več na telefonu (pogosto se brišejo), vendar je moj ključni material (moj zasebni ključ) še vedno tam.

Če šifriranje nima Forward Secrecy, lahko ta nekdo združi najdeno ključno gradivo na mojem telefonu in šifrirana sporočila, ki jih je posnel, preden je lahko rekonstruiral ravnino besedilo. Če ima šifriranje Forward Secrecy, to ni mogoče.

V: Kaj opisuje izraz Overhead na sporočilo?

O: Količina zahtevane pasovne širine, ki jo doda šifriranje. Predpostavimo, da ima nešifrirano sporočilo velikost 2 KB, enako šifrirano sporočilo pa bi imelo velikost 5 KB. V tem primeru so 3KB "režijski stroški", ki jih ustvari šifriranje.

V: Ali nameravate uvesti funkcijo klica?

O: Ne. Nove funkcije pridejo, če jih potrebujem sam ali če so smiselne z ekonomskega vidika. (Koliko več ljudi bi uporabljalo aplikacijo, če bi bila ta funkcija tam, in kako drago je razviti takšno funkcija?) Na žalost je funkcija klica zelo, zelo, zelo draga in osebno me to ne zanima preveč funkcija.

V: Kako lahko podprem razvoj aplikacije po nakupu aplikacije?

O: Na naši spletni strani so podrobnosti o tem, kako donirati. Seveda pomagata tudi promocija in oglaševanje, aplikacija pa je odprtokodna. Tisti, ki so sposobni razvijati programsko opremo, lahko seveda pomagajo pri kodiranju.

V: Ali ste algoritem OMEMO razvili sami?

O: Ne. To je bil projekt Google Summer of Code. (Google Summer of Code pomeni, da Google plača študentom 3 mesece za delo na odprtokodnih projektih.) OMEMO je za pogovore razvil študent.

V: Kakšni so vaši nadaljnji načrti za razvoj pogovorov?

O: Zares velike nove funkcije verjetno ne bodo prišle. Pogovori naredijo vse, kar bi morali. Pod pokrovom bo ena ali druga prilagoditev (poraba podatkov/hitrost povezljivosti in tako naprej.), Vendar to ni nič vidnega za povprečnega uporabnika. Malenkost, ki bo najverjetneje realizirana v nadaljevanju, je možnost potrditve prenosa, pred pošiljanjem slike. Slike do datuma so vedno poslane takoj.

V: Ali je dovoljeno samostojno sestaviti pogovore iz vašega Githuba in jih uporabljati za zasebno uporabo?

O: Seveda. Ne samo zasebno, tudi poslovno in vse ostalo, kar želite. Dovoljeno je tudi spreminjanje kode za izpolnjevanje individualnih zahtev.

V: Ali je možno tunelirati pogovore prek VPN-ja?

O: Da.

V: Na koncu bi radi slišali namig profesionalca. Katere meritve, razen uporabe pogovorov, priporočate za zaščito zasebnosti kot uporabnik androida?

O: Omogočite blokiranje oglasov v brskalniku. Na primer Firefox (na voljo tudi za Android) in dodatek uBlock.

Izklopite lokacijske storitve (v zadnjih različicah Androida obstaja hitra ploščica za to), ko niso v uporabi. Sicer Google ve, kje ste bili ves čas.

Ti dve stvari sta zelo enostavni za uporabo in sta praktično uporabni.

---

Opomba urednika: ta članek je prvotno v nemščini napisal Raúl Radonz. Prevedel ga je Raúl Radonz, uredil pa ga je Mishaal Rahman. Raúl Radonz in XDA-Developers se zahvaljujemo g. Gultschu, ker si je vzel čas za izvedbo tega intervjuja.